[发明专利]工控系统安全威胁评估方法、装置和系统

权利要求书

1.一种工控系统安全威胁评估方法，其特征在于，所述方法包括：

根据威胁分析所需参数的要求，从待检测工控系统的属性信息中提取威胁分析参数进行威胁分析，获得威胁分析评分；

探测所述待检测工控系统的存活设备的存活端口，获得探测数据；

将所述探测数据与设备指纹库中信息比对，获得所述待检测工控系统的漏洞信息，并根据所述漏洞信息计算资产分析评分；

对所述待检测工控系统的在线监测网络通讯流量，进行公开协议深度分析，获得异常分析评分；

根据所述威胁分析评分、所述资产分析评分和所述异常分析评分进行加权平均计算，获所述待检测工控系统的综合评分；其中，所述综合评分用于判断是否需要对所述待检测工控系统进行安全整改；

其中，所述根据威胁分析所需参数的要求，从待检测工控系统的属性信息中提取威胁分析参数进行威胁分析，获得威胁分析评分，包括：

根据评估标准规范，获取威胁分析待检查项和所述威胁分析待检查项的评估标准；

根据所述威胁分析待检查项从待检测工控系统的属性信息中提取威胁分析参数；

根据所述威胁分析参数和所述评估标准，对所述威胁分析待检查项进行打分；

根据每个所述威胁分析待检查项的打分及其对应的第一权重，计算威胁分析评分；

其中，所述威胁分析待检查项包括无线热点检查，所述无线热点检查包括以下步骤：

无线检查模块对工业现场的无线信号进行扫描，发现所有参与无线通信的设备，获取无线热点的SSID以及对应的 MAC 地址信息；

检查各个无线热点的加密方式，记录未进行加密的无线热点；

对于未知的无线热点，通过弱密码字典，检测无线热点是否存在弱密码，并记录使用弱密码的无线热点；

对于已知的无线热点，加入无线网络，监听网络内部通讯流量，分离出数据包中的IP地址、MAC地址和端口号信息，与合法通讯设备列表进行比对，检查是否存在非法访问行为，并记录存在非法访问行为的无线热点；若合法通讯设备列表不存在，通过人工添加或白名单学习方式进行构建；

根据安全检查获得的记录，输出存在安全风险的无线热点。

2.根据权利要求1所述的方法，其特征在于，还包括：

获取所述待检测工控系统的属性信息，所述属性信息包括单位信息、系统信息、系统服务信息、系统互联信息和系统数据信息。

3.根据权利要求1所述的方法，其特征在于，所述探测所述待检测工控系统的存活设备的存活端口，获得探测数据，包括：

探测所述待检测工控系统的存活设备的存活端口；

向所述存活设备的存活端口发送指纹探测数据包；

接收所述存活设备的存活端口根据所述指纹探测数据包发送的探测数据。

4.根据权利要求1所述的方法，其特征在于，所述将所述探测数据与设备指纹库中信息比对，获得所述待检测工控系统的漏洞信息，并根据所述漏洞信息计算资产分析评分，包括：

识别所述待检测工控系统的主机设备信息；

将所述主机设备信息与工业漏洞库中的设备信息进行比对，获取所述待检测工控系统的漏洞信息；其中，所述漏洞信息包括所述漏洞数量和漏洞严重程度；

根据所述待检测工控系统的所有主机设备的所述漏洞信息，计算资产分析评分。

5.根据权利要求1所述的方法，其特征在于，所述对所述待检测工控系统的在线监测网络通讯流量，进行公开协议深度分析，获得异常分析评分，包括：

在线监测所述待检测工控系统的网络通讯流量；

根据所述网络通讯流量，获取流量统计数据、数据包大小分布统计数据、诊断统计数据、IP流量统计数据和边界完整性检查数据；

根据所述流量统计数据、数据包大小分布统计数据、诊断统计数据、IP流量统计数据和边界完整性检查数据，计算异常分析评分。